Term potwierdza naruszenie, raport forensic nadal oczekiwany

Term Labs potwierdziło exploit zarządzania wpływający na jego vaulty, informując, że trwa dochodzenie. Zespół nie opublikował jeszcze końcowego podsumowania forensic, nie wskazał konkretnej funkcji, która została zaatakowana, ani nie wyjaśnił, w jaki sposób atakujący uzyskał kontrolę administracyjną.

Dla kontekstu, Term Finance — protokół zbudowany przez Term Labs — specjalizuje się w pożyczkach o stałej stopie i stałym terminie poprzez rynki aukcyjne typu repo na Ethereum, a dotknięte vaulty znajdują się po stronie „curated” tego stosu, gdzie deponenci alokują kapitał do strategii zatwierdzonych przez administratora. W związku z tym atak nie uderzył w giełdę ani most; trafił w kontrakty vaultów przechowujące środki deponentów, dlatego kompromitacja na poziomie zarządzania staje się bezpośrednim pytaniem o wypłacalność użytkowników.

Jesteśmy świadomi exploita zarządzania wpływającego na vaulty Term. Udostępnimy więcej szczegółów, gdy sprawa zostanie dalej zbadana.

— Term Labs (@term_labs), August 23, 2026 (post on X)

Do czasu publikacji tego raportu dane o stratach opierają się na zewnętrznej analizie on-chain. PeckShield odnotował początkowe wypłaty 2 843 ETH oraz około 1,68 mln USD w USDC, później zamienione na DAI, z adresu, który został zasilony 2 ETH przez Tornado Cash. CertiK Alert następnie powiązał te środki z głównym portfelem atakującego. Sam schemat finansowania jest dobrze znanym sygnałem: Tornado Cash, mieszalnik Ethereum objęty sankcjami OFAC amerykańskiego Departamentu Skarbu w sierpniu 2022, pozostaje częstym źródłem małych portfeli finansowanych na potrzeby gazu, używanych do przeprowadzania ataków on-chain.

#PeckShieldAlert @term_labs was exploited for ~$8.5M due to a governance exploit impacting Term vaults. The exploiter has drained ~2,843 $ETH ($6.87M) & 1.68M USDC ($1.68M) – which has already been swapped for ~1.68M $DAI The exploiter originally funded with 2 ETH from… pic.twitter.com/6ZRoDD9QK7

— PeckShieldAlert (@PeckShieldAlert), August 23, 2026 (post on X)

Te liczby wskazują na poważne naruszenie, ale pozostają szacunkami stron trzecich. Łączna wartość wyprowadzonych aktywów, bieżące salda portfeli oraz rzeczywista strata niepodlegająca odzyskaniu często różnią się po opublikowaniu pełnego postmortem.

Jak interpretować spadek TVL o 78%

Dane z DefiLlama pokazały około 10,87 mln USD całkowitej wartości zablokowanej w TermFinance Vaults w momencie pojawienia się informacji. W zestawieniu z odpływem 8,5 mln USD oznacza to około 78% widocznego TVL protokołu.

Ten stosunek nie oznacza, że 78% całego kapitału deponentów zostało wymazane. DefiLlama śledzi płynne salda vaultów strategii — w tym kapitał niewykorzystany oraz zewnętrzne rezerwy ERC-4626, standard Ethereum dla tokenizowanych udziałów w vaultach — jednocześnie filtrując tokeny repo Term, aby uniknąć podwójnego liczenia. Te dynamiczne metryki zmieniają się szybko wraz z wypłatami użytkowników lub zmianami wyceny aktywów.

Nawet jeśli tak, utrata 8,5 mln USD z ekosystemu o wartości 11 mln USD przekształca niszowy problem kontraktu smart w poważny test wypłacalności zarówno dla deponentów, jak i curatorów.

Gdy zarządzanie znajduje się zbyt blisko kapitału

Dokumentacja architektury Term opisuje rozdzielony model kontroli: menedżer operacyjny nadzoruje codzienne parametry aukcji, podczas gdy rola governor kontroluje limity ryzyka, integracje i przełączniki awaryjne.

Co istotne, rola governor ma uprawnienia do wyznaczania oczekujących governorów, podmiany kontrolera Term, dostosowywania progów rezerw, modyfikowania zasad dotyczących zabezpieczeń oraz wstrzymywania wykonywania głównej strategii. Mechanizmy bezpieczeństwa wymienione w publicznej dokumentacji Term obejmują wielopodpisowy Gnosis Safe, siedmiodniowy timelock oraz prawa weta LP.

Taka struktura została stworzona, aby chronić środki użytkowników. Ten exploit ujawnia jej drugą stronę: co dzieje się, gdy sam aparat nadzorczy staje się wektorem ataku?

Prawidłowe wykonanie a rzeczywiste bezpieczeństwo

Standardowe exploity kontraktów smart opierają się na błędach logiki lub matematyki, które wymuszają niezamierzone zachowanie kodu. Exploity zarządzania są fundamentalnie inne. Kod często działa dokładnie tak, jak został zaprojektowany — po prostu wykonuje złośliwe polecenia wydane przez podmiot, który uzyskał uprzywilejowany dostęp.

Jeśli atakujący przejął uprawnienia governance zamiast omijać granice kontraktów smart, kontrakty Term prawdopodobnie przetwarzały technicznie „prawidłowe” operacje. To jednak nie daje żadnego pocieszenia poszkodowanym deponentom. Protokół nie jest bezpieczny tylko dlatego, że jego funkcje administracyjne wykonują się poprawnie; jest bezpieczny dopiero wtedy, gdy przejęcie tych uprawnień w złośliwy sposób jest niemożliwe lub ekonomicznie nieopłacalne.

Audyt sprawdza, czy kod egzekwuje skonfigurowane uprawnienia. Nie gwarantuje jednak, że władza głosowania jest zdecentralizowana, że pasywni dostawcy płynności wykryją złośliwą propozycję, ani że timelock zapewni dość czasu na powstrzymanie złośliwego wykonania.

Test odporności zarządzania vaultami

Incydent w Term daje jasną listę kontrolną audytu dla każdego protokołu opartego na zarządzaniu administracyjnym:

• Zakres dostępu: Czy parametry governance mogą w jednej operacji zmienić routing strategii, feedy oracle lub warunki wypłat?
• Koncentracja głosów: Jak łatwo można uzyskać lub pożyczyć wagę głosu albo podpisy administracyjne?
• Widoczność propozycji: Czy proponowane zmiany stanu są czytelne w plain text dla deponentów przed wykonaniem?
• Awaryjne wyłączniki: Czy niezależny awaryjny multisig może zatrzymać wykonanie w trakcie aktywnego okna timelock?
• Zmiany atomowe: Czy istnieje limit liczby zmiennych ryzyka, które może zmienić jedna propozycja?

Siedmiodniowy timelock daje niewielką ochronę, jeśli propozycje są niejasne, osoby posiadające prawo weta są offline albo pojedynczy payload może jednocześnie zmienić każdy parametr bezpieczeństwa.

Co musi ujawnić postmortem Term

Nadchodzący postmortem Term musi wyjść poza same kwoty w dolarach. Społeczność potrzebuje dokładnych informacji o tym, które vaulty zostały opróżnione, jakie konkretnie działania governance zostały wywołane, w jaki sposób atakujący przejął władzę głosowania oraz dlaczego istniejące timelocki lub awaryjne weta nie zablokowały transakcji.

Śledzenie ruchu portfeli pokaże, gdzie trafiają skradzione środki. Wyjaśnienie, czy governance Term zostało ominięte, źle skonfigurowane czy użyte zgodnie z projektem jako broń, ujawni prawdziwą przyczynę źródłową — kluczową różnicę między błędem kodu a błędem autorytetu.